En règle générale, NIS2 concernera les entreprises d'au moins 50 salariés, ou de plus de 10 millions d'euros de chiffre d'affaires et de bilan, dans dix-huit secteurs listés par la directive. Au 18 octobre 2026, la loi française qui la transpose n'est pas encore votée. Mais beaucoup de petites entreprises sont déjà concernées par ricochet : leurs clients soumis à NIS2 leur demandent des preuves de sécurité.
Publié le 18 octobre 2026 · par l'équipe Boost de WS Agency · 9 minutes de lecture
La directive européenne NIS2 a été publiée en décembre 2022, et les États devaient la transposer avant le 17 octobre 2024. En France, c'est le projet de loi dit « Résilience » qui s'en charge, avec deux autres textes européens.
L'ANSSI, l'agence nationale de la sécurité des systèmes d'information, invite pourtant les futures entités concernées à s'y mettre dès maintenant. Elle a publié le 17 mars 2026 un référentiel de mesures, ReCyF, en document de travail, non obligatoire par défaut, et ouvert un pré-enregistrement volontaire pour les entreprises.
La directive liste dix-huit secteurs en deux annexes, et distingue deux catégories : les entités essentielles et les entités importantes. En règle générale, elle ne vise que les entreprises au moins moyennes : au moins 50 salariés, ou un chiffre d'affaires et un total de bilan supérieurs à 10 millions d'euros. Une grande entreprise d'un secteur très critique sera en général essentielle ; une entreprise moyenne d'un secteur listé, importante.
Énergie, transports, banque, infrastructures des marchés financiers, santé, eau potable, eaux usées, infrastructures numériques, gestion des services informatiques entre entreprises (dont les prestataires de services gérés et de sécurité), administrations publiques, espace.
Services postaux et d'expédition, gestion des déchets, produits chimiques, production et distribution de denrées alimentaires, fabrication (dispositifs médicaux, électronique, équipements électriques, machines, véhicules), fournisseurs numériques (places de marché, moteurs de recherche, réseaux sociaux), recherche.
Quelques activités sont visées quelle que soit leur taille, comme les fournisseurs de services de confiance, les registres de noms de domaine et les fournisseurs de DNS. Pour savoir où vous en êtes, l'ANSSI propose un test « Suis-je concerné ? » sur son service NIS2.
C'est le point que la plupart des petites entreprises découvrent tard. Les entités concernées doivent gérer les risques liés à leurs fournisseurs : la sécurité de la chaîne d'approvisionnement fait partie des mesures exigées. Concrètement, si vous travaillez pour un hôpital, un industriel, un transporteur ou une collectivité, attendez-vous à recevoir :
Une entreprise de dix salariés qui ne sera jamais soumise à NIS2 peut donc perdre un client faute de pouvoir répondre. Se préparer, c'est aussi garder ses clients.
Les dirigeants doivent approuver les mesures de sécurité, en superviser la mise en œuvre, et se former. La sécurité n'est plus seulement l'affaire du prestataire informatique.
Une alerte précoce dans les 24 heures, une notification dans les 72 heures, un rapport final dans le mois. Ces délais sont ceux de la directive ; la loi française précisera à qui et comment déclarer.
La directive prévoit des amendes dont le plafond doit atteindre au moins 10 millions d'euros ou 2 % du chiffre d'affaires mondial pour une entité essentielle, et au moins 7 millions d'euros ou 1,4 % pour une entité importante. Les montants exacts appliqués en France dépendront de la loi.
Pour les sauvegardes, notre guide sur la règle 3-2-1 détaille la méthode.
N'attendez pas le vote de la loi pour savoir si vous êtes concerné : le test de l'ANSSI prend quelques minutes. Si vous ne l'êtes pas, ne classez pas le sujet pour autant : vos clients le sont peut-être, et la checklist ci-dessus est de toute façon ce qui protège une PME des attaques les plus courantes.
Méfiez-vous des offres « mise en conformité NIS2 » vendues clés en main avant même que la loi existe. Ce qui compte aujourd'hui, ce sont les mesures réelles et leurs preuves écrites, pas un certificat.
Pour les structures qui ont des salariés, un réseau et des serveurs : nous vérifierons au bilan de départ si votre entreprise est concernée par NIS2 et, si oui, nous préparerons avec vous les mesures et les preuves demandées. Les questionnaires de sécurité de vos clients seront remplis avec vous.
Demandez notre audit gratuit : nous regardons votre site comme un visiteur, sans rien toucher, et vous recevez par e-mail un bilan clair de ce qu'il faut corriger. Ou laissez-nous nous en occuper : voir les offres.
Ce qu'on nous demande sur NIS2.
Une directive européenne de 2022 sur la cybersécurité. Elle impose à des milliers d'organisations de dix-huit secteurs des mesures de sécurité, la déclaration de leurs incidents importants et des contrôles, avec des sanctions possibles.
Pas encore au 18 octobre 2026. Le projet de loi qui la transpose a été adopté par le Sénat en mars 2025, mais son examen en séance à l'Assemblée nationale, prévu le 7 octobre 2026, a été reporté sans nouvelle date. Il faudra ensuite des décrets.
En règle générale, oui si vous êtes dans l'un des dix-huit secteurs listés et que vous comptez au moins 50 salariés, ou plus de 10 millions d'euros de chiffre d'affaires et de bilan. Quelques activités sont visées quelle que soit leur taille. Le test « Suis-je concerné ? » de l'ANSSI vous le dit en quelques minutes.
Même non concernée directement, oui si elle travaille pour des entités concernées : celles-ci devront vérifier la sécurité de leurs fournisseurs, par des questionnaires et des clauses. Et les mesures demandées sont celles qui protègent des attaques les plus courantes.
Le Référentiel Cyber France, publié par l'ANSSI le 17 mars 2026 en document de travail. Il liste les mesures recommandées pour atteindre les objectifs de NIS2. Il n'est pas obligatoire par défaut, mais une entité qui l'applique peut s'en prévaloir lors d'un contrôle.
La directive prévoit une alerte précoce dans les 24 heures, une notification dans les 72 heures et un rapport final dans le mois. La loi française précisera les modalités.
La directive impose des plafonds d'amende d'au moins 10 millions d'euros ou 2 % du chiffre d'affaires mondial pour une entité essentielle, et d'au moins 7 millions d'euros ou 1,4 % pour une entité importante. Les montants appliqués en France dépendront de la loi.
Un état des lieux est le bon point de départ : où en sont vos accès, vos sauvegardes, vos mises à jour, vos fournisseurs et votre plan de réponse aux incidents. Il vaut mieux qu'un certificat acheté avant même que la loi existe.
Rédigé par l'équipe Boost de WS Agency, qui maintient et protège des sites WordPress, PrestaShop et Joomla. Publié le 18 octobre 2026. Ce guide sera mis à jour au vote de la loi. C'est une information générale, pas un conseil juridique.
Une erreur, une information à compléter, un droit de réponse ? Écrivez à contact@wsagency.fr : nous corrigeons, et nous indiquons ici ce qui a changé et quand.
Postes, réseau, serveurs, sites et salariés : une seule équipe pour la sécurité de votre entreprise, avec un prix mensuel ferme après le bilan de départ.